A megoldás a Facebook egyik sebezhetőségére épít.
A Facebook feltárt hibájára Barak Tawily hívta fel a figyelmet. Kiderült, hogy a közösségi oldal annak a weboldalnak a tartalmát és webcímét tölti be előnézetként a megosztásnál, ami a megosztott weboldal og:url fejléc-paraméterében szerepel. A többi og: paraméter „sajnos” nem befolyásolja az előnézetet.
Forrás: www.hirado.hu
A Facebook nem ellenőrzi a megosztott webcím és az og:url paraméterben megadott webcím egyezését, hanem minden fennakadás nélkül betölti az utóbbinak a tartalmát.
Magyarán szólva: ha a kibertámadó például létrehoz egy OTP kártyaadatok bekérésére és ellopására létrehozott adathalász oldalt, aminek a kódjában teszem azt „https://www.otpbank.hu/” értékkel elhelyezi az og:url paramétert, akkor a támadó oldal facebookos megosztásánál a hivatalos OTP Bank webcíme és előnézete töltődik be.
Forrás: www.hirado.hu
Próbaképpen kattintsuk meg a teszt kedvéért a Makay.net által létrehozott https://makay.net/teszt.html lapot. A tényleges Makay.net tesztoldal itt található.
A tesztoldal megosztásával bárki kipróbálhatja a módszert, és megtekintheti, hogyan téríthetőek el a felhasználók egy cseppet sem-hivatalos weboldalra.
A Facebook kijelentette, hogy nem fogja javítani a sebezhetőséget.
A példa persze szólhatna a manipulációról is, hiszen a támadónak elég keresnie egy közismert médiumnál egy félreérthető című cikket, amit a médium dizájnjával, de teljesen más, manipulatív tartalommal közzétesz egy saját oldalon, majd elhelyezi benne az említett kódrészletet – aminek következtében a Facebook-megosztásnál látszólag tökéletesen egyezni fog az eredetivel, annak hitelességét pedig még a gyakorlott internetezők sem fogják megkérdőjelezni.
Hogyan védekezhetünk?
Számítógépen mielőtt rákattintunk egy Facebook-megosztásra, érdemes a megosztás fölé vinnünk a kurzort, hogy a böngésző bal alsó sarkában ellenőrizhessük a tényleges webcímet, ahová vinne a kattintás.
Okostelefonon sajnos csak akkor látható a valódi URL, ha már megnyitottuk. Óvatos felhasználó a link másolása funkciót használva végezhet egy beillesztés és betöltés nélküli előzetes ellenőrzést.
